OAuth 2.0 gyorsútmutató Cathopic Connected Appokhoz - Súgóközpont

A Cathopic Connected Apps OAuth 2.0 Authorization Code-ot használ kötelező PKCE S256-tal. Ugyanez a fejlesztői jóváhagyás feloldja a Cathopic kereskedelmi API-ját is, de az OAuth-kapcsolatok felhasználói tokeneket és a kapcsolódó felhasználó csomagját használják az API-kulcsok és a méréses API-számlázás helyett.

1. Szerezzen hozzáférést és regisztrálja az alkalmazást

A fejlesztői hozzáférés iránti egyetlen kérelmet küldje be a kapcsolati űrlapon keresztül. Miután a Cathopic e-mailben jóváhagyja a fiókot, nyissa meg Beállítások → Fejlesztő / API → OAuth alkalmazások, hozzon létre egy alkalmazást, regisztrálja a pontos callback-eket és a szükséges scope-okat, majd ha bizalmas, tárolja az egyszeri titkát.

2. Az engedélyezési szerver felfedezése

GET https://cathopic.com/.well-known/oauth-authorization-server

3. A felhasználó átirányítása

GET https://cathopic.com/oauth/authorize
    ?client_id=CLIENT_ID
    &redirect_uri=EXACT_CALLBACK
    &response_type=code
    &scope=account.read%20catalog.read%20entitlements.read%20licenses.create%20licenses.read
    &state=UNGUESSABLE_STATE
    &code_challenge=BASE64URL_SHA256_VERIFIER
    &code_challenge_method=S256
    &ui_locales=en

Készítsen egyetlen URL-t; a sortörések csak az olvashatóságot szolgálják. Minden próbálkozáshoz generáljon új, nagy entrópiájú state és PKCE értékeket. ui_locales opcionális, és kérhet egy támogatott nyelvet, például en vagy es. Ha a bejelentkezés szükséges, a Cathopic folytatja ugyanazt az engedélyezési kérést, majd megjeleníti a jogosultsági képernyőt.

4. A callback érvényesítése és a kód kicserélése

A kód kicserélése előtt hasonlítsa össze a visszakapott state-et. Az átirányítási URI-nak byte-ról byte-ra meg kell egyeznie.

POST https://cathopic.com/oauth/token
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&client_id=CLIENT_ID&client_secret=CLIENT_SECRET&redirect_uri=EXACT_CALLBACK&code=CODE&code_verifier=VERIFIER

A nyilvános alkalmazások kihagyják client_secret. A tokeneket és a bizalmas titkokat csak a szerveren tárolja, és nyugalmi állapotban titkosítsa. A hozzáférési tokenek élettartama 30 perc; a frissítési tokeneké legfeljebb 30 nap, és a felhasználáskor rotálni kell.

Gyakori ellenőrzések

A visszautasított callback általában a regisztrált URI-tól eltér a séma, a hoszt, a port, az útvonal, a kis- és nagybetűk vagy a záró perjel miatt.
invalid_request a beleegyezés előtti azt jelenti, hogy a PKCE S256, a challenge vagy a state hiányzik, vagy érvénytelen.
invalid_grant gyakran azt jelenti, hogy egy kód vagy egy rotált frissítési token újra lett felhasználva, vagy a callback vagy a verifier megváltozott.
Egy 401 után frissítsen egyszer; ha a frissítés sikertelen, kérje meg a felhasználót, hogy csatlakozzon újra. A 403 azt jelenti, hogy a token nem rendelkezik a szükséges scope-pal.

Tekintse meg a teljes OpenAPI szerződést és a részletes útmutatót a Connected Apps integrációhoz.